Livraison d'e-mails, volume 2 : réputation, délivrabilité et chiffrement

Mon, 29 Jun 2026 00:00:00 +0000

Il y a quelque temps, j’ai écrit un guide sur la livraison d’e-mails : SMTP, la plomberie DNS, les différents types d’e-mails et un premier aperçu de l’authentification. Ce billet répondait à la question « comment un message passe-t-il physiquement de moi à vous, et comment prouver que c’est bien moi ».

Voici le volume 2, qui reprend là où le premier s’arrêtait. Prouver son identité (l’authentification) est nécessaire mais pas suffisant. Un e-mail parfaitement authentifié peut quand même finir en spam, rebondir, ou être lu par les mauvaises personnes en transit. Ce billet couvre donc ce qui se joue après la réussite de l’authentification : la réputation, la délivrabilité et le chiffrement. Je commence par un rappel resserré de l’authentification, car c’est la fondation sur laquelle tout repose, puis j’aborde les nouveaux terrains.

Partie 1 : l’authentification, racontée avec Alice et Bob

Quand Alice envoie une lettre papier à Bob, la confiance est intégrée à l’enveloppe : une adresse de retour, une écriture reconnaissable, un service postal qui sait de quelle boîte la lettre provient. L’e-mail ne conserve rien de tout cela. Le champ « De » n’est que du texte, et n’importe qui peut écrire From: alice@example.com sans être Alice. C’est l’usurpation (spoofing), et trois protocoles existent pour reconstruire les indices de confiance manquants.

SPF (Sender Policy Framework), c’est Alice indiquant à la poste quelles boîtes sont autorisées à envoyer en son nom. Elle publie dans le DNS la liste des serveurs de messagerie autorisés, et le serveur de Bob vérifie que le message provient bien de l’un d’eux.

example.com.  3600  IN  TXT  "v=spf1 include:_spf.google.com ~all"

DKIM (DomainKeys Identified Mail), c’est un sceau de cire que seule Alice peut produire. Son serveur signe chaque message avec une clé privée, publie la clé publique correspondante dans le DNS, et le serveur de Bob vérifie la signature. Si elle tient, le message n’a pas été altéré, et contrairement à SPF, la preuve survit au transfert.

DMARC, c’est la note qu’Alice remet à Bob à l’avance : que faire si la vérification de la boîte ou du sceau échoue (livrer, mettre en quarantaine ou rejeter), et merci d’envoyer des rapports. Son rôle discret mais essentiel est l’alignement : il exige que le domaine qui réussit SPF ou DKIM corresponde au domaine affiché dans le champ « De ». C’est ce qui referme la brèche que SPF laisse seul ouverte.

_dmarc.example.com.  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"

Les trois sont nécessaires car chacun couvre les angles morts des autres. Pour la version longue, j’ai transformé l’ensemble du sujet en un cours structuré sur la livraison d’e-mails, avec un chapitre complet sur le parcours Alice et Bob. La suite de ce billet suppose l’authentification réglée et pose la question : et maintenant ?

Partie 2 : la réputation, le score de crédit de l’e-mail

Voici la vérité inconfortable que l’authentification ne résout pas seule. Vous pouvez réussir parfaitement SPF, DKIM et DMARC et voir tout de même votre courrier classé en spam. L’authentification prouve qui a envoyé le message. Elle ne dit rien sur la fiabilité de cet expéditeur. Cette seconde question, c’est la réputation.

Voyez la réputation d’e-mail comme un score de crédit. Les banques s’en servent pour décider de vous prêter ; les fournisseurs comme Gmail, Outlook et Yahoo s’en servent pour décider de vous confier leurs boîtes de réception. Et comme un score de crédit, elle se construit lentement, s’abîme vite et vous suit partout.

Deux réputations entrent en jeu, suivies séparément.

Réputation d’IP

C’est la fiabilité de l’adresse IP précise depuis laquelle part votre courrier. Les principaux facteurs :

Volume et régularité d’envoi. Un flux régulier paraît humain ; un pic soudain ressemble à un compte compromis.
Taux de plaintes. La fréquence à laquelle les destinataires cliquent sur « signaler comme spam ». Le seuil de tolérance est très bas.
Taux de rebond. Rebonds durs (l’adresse n’existe pas) comme rebonds souples (échecs temporaires).
Pièges à spam (spam traps). Des adresses qui n’existent que pour piéger les expéditeurs aux listes négligées.
Engagement des destinataires. Ouvertures, réponses, fidélité.

Réputation de domaine

C’est la fiabilité de votre domaine d’envoi, quelle que soit l’IP utilisée. À mesure que les fournisseurs filtrent par domaine, elle compte chaque année davantage. Ses facteurs recoupent ceux de l’IP et ajoutent :

La présence d’une authentification (SPF, DKIM, DMARC) tout court.
La qualité du contenu et sa pertinence.
L’âge du domaine et son historique d’envoi.
Les apparitions sur listes noires.

Notez que l’authentification est un facteur de la réputation de domaine. C’est le lien avec la partie 1 : configurer SPF, DKIM et DMARC ne fait pas que bloquer l’usurpation, c’est aussi l’un des ingrédients de la confiance que les fournisseurs accordent à votre domaine.

IP partagée ou dédiée

Une décision pratique façonne votre réputation d’IP dès le départ : envoyer depuis une IP partagée avec d’autres, ou depuis une IP rien qu’à vous ?

Une IP partagée regroupe plusieurs expéditeurs sur une même adresse. Elle convient aux faibles volumes (environ moins de 100 000 e-mails par mois), aux envois irréguliers et aux budgets serrés. Le revers : votre réputation dépend en partie des autres expéditeurs de cette IP.

Une IP dédiée n’est utilisée que par votre organisation. Elle convient aux gros volumes, aux besoins exigeant une mise en liste blanche et aux listes bien entretenues. Le compromis : une IP dédiée neuve part sans aucune réputation et doit être chauffée (« warm-up »), le volume augmentant progressivement pour que les fournisseurs apprennent à lui faire confiance.

La surveiller

On ne gère bien que ce que l’on voit. Quelques outils rendent la réputation visible :

Google Postmaster Tools : taux de spam, authentification et erreurs de livraison pour Gmail.
Talos Intelligence : données de réputation d’IP et de domaine.
Sender Score : note une IP de 0 à 100.
Services de surveillance des listes noires.

Le plan d’amélioration est ingrat mais efficace : authentifier correctement, utiliser le double opt-in pour que les gens veuillent vraiment votre courrier, garder des volumes réguliers, nettoyer régulièrement vos listes, surveiller le taux de rebond et écrire du contenu engageant.

Partie 3 : la délivrabilité, la somme de tout le reste

La délivrabilité, c’est le résultat final : arriver de manière constante dans la boîte de réception plutôt qu’en spam ou en rejet. Ce n’est pas un réglage unique. C’est l’aboutissement de la configuration technique, de la réputation, du contenu et de l’hygiène de votre liste. Quelques rouages méritent qu’on s’y arrête.

Les rebonds, et pourquoi il faut les gérer

Un rebond dur est un échec permanent : adresse invalide ou domaine inexistant. Retirez-les immédiatement de votre liste. Continuer à leur écrire est un moyen rapide de ressembler à un spammeur qui ne nettoie jamais.

Un rebond souple est temporaire : boîte pleine, serveur momentanément indisponible. Réessayez, mais retirez l’adresse après plusieurs échecs consécutifs.

Les seuils à ne pas dépasser : rebonds durs sous 2 %, rebonds totaux sous 5 %.

Les boucles de rétroaction

La plupart des grands fournisseurs (Gmail, Yahoo, Microsoft, AOL et d’autres) proposent des boucles de rétroaction (FBL). Quand un destinataire signale votre message comme spam, le fournisseur vous prévient, ce qui vous permet de retirer cette personne. Inscrivez-vous-y. La cible : un taux de plaintes sous 0,1 %, soit une plainte pour mille e-mails.

La limitation de débit

Envoyer trop, trop vite, déclenche des limites de débit chez les serveurs destinataires, provoquant blocages temporaires ou ajournements. La limitation (« throttling ») évite de submerger l’autre bout, réduit le risque d’être signalé et donne des données de livraison plus propres. C’est aussi exactement ainsi qu’on chauffe une nouvelle IP : commencer lentement, monter en volume progressivement, s’adapter aux limites de chaque fournisseur.

Partie 4 : le chiffrement, car authentifier n’est pas protéger

C’est la partie que le premier guide ne couvrait pas du tout, et il faut être clair : l’authentification et la réputation concernent la confiance et la livraison, pas le secret. Un message peut être parfaitement authentifié et rester lisible par quiconque l’intercepte. Laissé tel quel, l’e-mail subit de vraies menaces : altération par toute personne ayant accès à un serveur de messagerie, écoute sur des connexions non sécurisées, et copies en clair stockées dans les sauvegardes.

Trois couches de protection y répondent, de plus en plus solides et exigeantes.

TLS : le tunnel chiffré

Transport Layer Security enveloppe la connexion entre serveurs dans un tunnel chiffré, protégeant le message en transit. C’est la base : simple à mettre en place, aucune configuration requise côté destinataire, largement supporté. Sa limite : il protège le tuyau, pas le message stocké ; une fois livré, le courrier repose en clair sur le serveur.

S/MIME et PGP : le chiffrement de bout en bout

Quand le contenu lui-même doit être protégé, de bout en bout, il faut chiffrer au niveau du message.

S/MIME utilise des certificats émis par une autorité de certification. Intégré à de nombreux clients de messagerie, il offre chiffrement et signatures numériques, et il est populaire en entreprise. En contrepartie, l’expéditeur comme le destinataire doivent disposer de certificats.

PGP (Pretty Good Privacy) utilise des paires de clés publique et privée, sans autorité centrale. Il offre une très forte sécurité, un long historique et de bonnes options open source. Il exige aussi que les deux parties gèrent des clés, ce qui le maintient confidentiel hors des cercles techniques.

Tous deux reposent sur la même idée : une clé publique que chacun peut utiliser pour vous chiffrer un message, et une clé privée que vous seul détenez pour le déchiffrer. En pratique, les systèmes combinent chiffrement asymétrique (pour échanger une clé en sécurité) et chiffrement symétrique plus rapide (pour le corps du message).

Caractéristique	TLS	S/MIME	PGP
Facilité d’usage	Élevée	Moyenne	Faible
Niveau de sécurité	Moyen	Élevé	Élevé
Config. destinataire	Non requise	Requise	Requise
Protège le message stocké	Non	Oui	Oui

Le réglage par défaut sensé : utiliser TLS partout comme base, et ajouter S/MIME ou PGP pour les communications qui exigent vraiment le secret de bout en bout. À compléter par les fondamentaux ingrats : mots de passe forts, authentification à deux facteurs, clients à jour, et des utilisateurs qui comprennent pourquoi cela compte.

Le tableau complet

Si le volume 1 expliquait « comment l’e-mail fonctionne et comment prouver que c’est vous », le volume 2 explique « comment s’assurer qu’il arrive, et qu’il arrive en sécurité ». Les pièces s’empilent :

L’authentification (SPF, DKIM, DMARC) prouve votre identité et nourrit la réputation de votre domaine.
La réputation décide si les fournisseurs vous font assez confiance pour livrer.
Les pratiques de délivrabilité (listes propres, gestion des rebonds, boucles de rétroaction, limitation de débit) protègent cette réputation dans la durée.
Le chiffrement (TLS, S/MIME, PGP) garde le contenu privé en chemin.

Aucune de ces pièces n’est une configuration unique. La réputation dérive, les listes pourrissent, les clés expirent, et les fournisseurs changent les règles. Mais comprises ensemble, elles transforment l’e-mail : d’une chose que l’on espère voir arriver, on passe à une chose que l’on peut réellement raisonner.

S/MIME | Antoine Weill--Duflos